Dos nuevos avisos de seguridad y una actualización
Índice
- Cross-site Scripting (XSS) almacenado en Tankuam Places
- Múltiples vulnerabilidades en SonicOS de SonicWall
- [Actualización 09/11/2026] Impacto de vulnerabilidades críticas de PHP en productos de Cisco
Cross-site Scripting (XSS) almacenado en Tankuam Places
Tankuam Places, versiones anteriores a la apl.00007.00005 (diciembre de 2025).
INCIBE ha coordinado la publicación de una vulnerabilidad de severidad media que afecta a Tankuam Places de Kompini, software para la gestión de los equipamientos municipales. La vulnerabilidad ha sido descubierta por Arnau Domènech Bravin.
A esta vulnerabilidad se le ha asignado el siguiente código, puntuación base CVSS v4.0, vector del CVSS y el tipo de vulnerabilidad CWE:
- CVE-2026-124637: CVSS v4.0: 5.3 | CVSS AV:N/AC:L/AT:N/PR:N/UI:P/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N | CWE-79
La vulnerabilidad ha sido solucionada por el equipo de Kompini en la versión apl.00007.00005 (diciembre de 2025).
CVE-2026-124637: vulnerabilidad Cross-site Scripting (XSS) almacenado identificada en el formulario de edición del perfil, en los parámetros: cliNom y cliCognoms en una petición a https://www.luxorgymtarrega.com/dadespersonals/modificarClient/ID. Los datos introducidos por el usuario no se validan ni se escapan antes de mostrarse en la respuesta HTML y guardarse en la base de datos, lo que permite la ejecución de código JavaScript arbitrario en el navegador de la víctima.
Múltiples vulnerabilidades en SonicOS de SonicWall
- Gen 7. SonicOS 7.3.3-7015 y versiones anteriores en los siguientes modelos:
- TZ 270, TZ 270W, TZ 370, TZ 370W, TZ 470, TZ 470W, TZ 570, TZ 570W, TZ 570P y TZ 670.
- NSa 2700, NSa 3700, NSa 4700, NSa 5700 y NSa 6700.
- NSsp 10700, NSsp 11700, NSsp 13700 y NSsp 15700.
- NSv 270, NSv 470 y NSv 870.
- Gen 8. SonicOS 8.2.2-8015 y versiones anteriores en los siguientes modelos:
- TZ 80, TZ 280, TZ 280W, TZ 380, TZ 380W, TZ 480, TZ 580 y TZ 680.
- NSa 2800, NSa 3800, NSa 4800 y NSa 5800.
- NSv XS, NSv S, NSv M y NSv L.
CVE-2026-19868 afecta al servicio SSL VPN cuando SAML está habilitado para el inicio de sesión.
Ryan Harris, de The Electronic Office, ha informado sobre una vulnerabilidad de severidad alta que permite omitir controles de autenticación en la SSL VPN de SonicOS. La vulnerabilidad, identificada como CVE-2026-19868, se está explotando activamente. El boletín de SonicWall recoge siete vulnerabilidades, cuatro altas y tres medias.
Actualizar SonicOS cuanto antes a la versión corregida de la generación correspondiente:
- Gen 7: 7.3.4-7013 o posterior.
- Gen 8: 8.2.3-8015 o posterior.
Consultar el boletín de SonicWall para comprobar la versión aplicable a cada modelo.
CVE-2026-19868: un fallo en el control de acceso de la SSL VPN permite a un usuario con credenciales válidas para otro método de autenticación eludir los controles de SAML. También podría omitir la autenticación multifactor exigida por SAML.
[Actualización 09/11/2026] Impacto de vulnerabilidades críticas de PHP en productos de Cisco
[Actualización 09/11/2026]
Cisco identifica los siguientes productos afectados en su boletín definitivo:
- Expressway Series.
- Expressway Select Series.
- Ultra-Reliable Wireless Backhaul (URWB).
- Unified Industrial Wireless Software.
- Duo Access Gateway.
- Identity Services Engine (ISE) Portal Builder.
En URWB, la explotación requiere autenticación como administrador.
Cisco ha publicado un aviso sobre el impacto de dos vulnerabilidades críticas del núcleo de PHP en sus productos. Los fallos podrían permitir la ejecución remota de código en entornos PHP vulnerables. El fabricante ha confirmado productos afectados y continúa evaluando otros.
[Actualización 09/11/2026]
- Expressway Series y Expressway Select Series: instalar la versión 15.5.21.
- URWB y Unified Industrial Wireless Software: instalar la versión 26.2.1.9.
- ISE Portal Builder: Cisco ya ha desplegado la corrección. Los clientes no tienen que intervenir.
Para Duo Access Gateway, instalar la versión 3.2.0. En Windows requiere PHP 8.3.36 o posterior. La versión para Linux incorpora PHP 8.3.36.
En instalaciones de Duo Access Gateway 3.0.0 o 3.1.0 en Windows, puede actualizarse PHP a 8.3.36 mediante el instalador independiente indicado en las notas de versión de Duo.
Si se aplaza la actualización de Expressway o URWB, consultar las medidas alternativas de los registros CSCwx37062 y CSCwx37073.
- CVE-2026-109618: la gestión incorrecta de errores por falta de memoria puede dejar datos internos de una petición PHP en un estado inválido y permitir la ejecución remota de código.
- CVE-2026-109619: las referencias globales a memoria de peticiones ya liberadas pueden utilizarse durante solicitudes posteriores, lo que podría permitir la ejecución remota de código.